《2021年11月1日，《个人信息保护法》正式施行，该法的通过标志着我国首次对于个人信息保护做出了全面、系统的规范，对于我国公民个人信息安全的保障起到了重大的作用。
2021年11月14日，国家互联网信息办公室发布了《网络数据安全管理条例（征求意见稿）》（以下简称“征求意见稿”），并向社会公开征求意见。征求意见稿在《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》（以下简称“个人信息保护法”）等现行法律关于数据安全管理的规定的基础上，结合我国目前网络信息安全管理的现状与需求，在个人数据保护、数据处理者规范、跨境数据安全等方面，进行了更加详细的规定。
《征求意见稿》作为《个人信息保护法》的配套文件，其规定与《个人信息保护法》中的规定存在着诸多对应，将原先在《个人信息保护法》中已经存在的规定，做出了内容上的细化与补充，以进一步保障个人信息安全。
对比《征求意见稿》与《个人信息保护法》的内容，我们不难看出，虽然二者在个人信息保护中都做出了比较详细的规定，但二者的侧重不同。本文将对《征求意见稿》在个人数据保护方面的优化进行简要的评析。
一、强化监管，数据处理者对特定事件的按时报告义务
1. 数据处理者发生合并、重组、分立时的报告义务
《个人信息保护法》 | |
第二十二条个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。 | 第十四条数据处理者发生合并、重组、分立等情况的，数据接收方应当继续履行数据安全保护义务，涉及重要数据和一百万人以上个人信息的，应当向设区的市级主管部门报告；数据处理者发生解散、被宣告破产等情况的，应当向设区的市级主管部门报告，按照相关要求移交或删除数据，主管部门不明确的，应当向设区的市级网信部门报告。 |
对比两部文件中的规定，我们可以看出，对于数据处理者发生合并、重组、分立时，《个人信息保护法》主要规定了对于信息提供者(用户)的告知义务，保障信息提供者的知情权，以及要求数据接收方继续履行保障数据安全的义务。
而在本次《征求意见稿》中，对于“涉及重要数据和一百万人以上个人信息”，不仅要求合并、重组、分立的数据处理者继续履行保护数据安全的义务，同时还增加了数据处理者的报告义务。
2. 数据处理者对于发生数据安全事件时的报告义务
《个人信息保护法》 | |
第五十七条发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项： （一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害； （二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施； （三）个人信息处理者的联系方式。 个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。” | 第十一条数据处理者应当建立数据安全应急处置机制，发生数据安全事件时及时启动应急响应机制，采取措施防止危害扩大，消除安全隐患。安全事件对个人、组织造成危害的，数据处理者应当在三个工作日内将安全事件和风险情况、危害后果、已经采取的补救措施等以电话、短信、即时通信工具、电子邮件等方式通知利害关系人，无法通知的可采取公告方式告知，法律、行政法规规定可以不通知的从其规定。安全事件涉嫌犯罪的，数据处理者应当按规定向公安机关报案。 发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，数据处理者还应当履行以下义务： （一）在发生安全事件的八小时内向设区的市级网信部门和有关主管部门报告事件基本信息，包括涉及的数据数量、类型、可能的影响、已经或拟采取的处置措施等； （二）在事件处置完毕后五个工作日内向设区的市级网信部门和有关主管部门报告包括事件原因、危害后果、责任处理、改进措施等情况的调查评估报告。 |
《个人信息保护法》和《征求意见稿》都规定了在发生数据安全事故时数据处理者的报告义务。而《征求意见稿》第十一条则在此基础上增加了数据处理者在向相关部门报告数据安全事件的报告时限，以此最大程度地减少数据安全事件所带来的负面影响，并且防范之后相同情况的发生。
综上所述，《征求意见稿》对于数据处理者发生合并、重组、分立时的报告义务及数据安全事件时数据处理者的报告义务的规定，强化了政府个人信息保护职责部门对于我国个人信息、重要数据的监管，更有利于数据安全防护能力建设，保障数据依法有序自由流动，促进数据依法合理有效利用。
二、明确规则，数据处理者处理个人信息的要求及权责
1. 细化“个人信息处理规则”及数据处理者的明示要求
《个人信息保护法》 | |
第十七条个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项： （一）个人信息处理者的名称或者姓名和联系方式； （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限； （三）个人行使本法规定权利的方式和程序； （四）法律、行政法规规定应当告知的其他事项。 | 第二十条第一至三款 数据处理者处理个人信息，应当制定个人信息处理规则并严格遵守。个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、简明通俗，系统全面地向个人说明个人信息处理情况。 个人信息处理规则应当包括但不限于以下内容： （一）依据产品或者服务的功能明确所需的个人信息，以清单形式列明每项功能处理个人信息的目的、用途、方式、种类、频次或者时机、保存地点等，以及拒绝处理个人信息对个人的影响； （二）个人信息存储期限或者个人信息存储期限的确定方法、到期后的处理方式； （三）个人查阅、复制、更正、删除、限制处理、转移个人信息，以及注销账号、撤回处理个人信息同意的途径和方法；··· |
本次《征求意见稿》更加详细地规定了数据处理者应当遵守的个人信息处理规则，特别是实际场景中关注的“频次或者时机”，此前《个人信息保护法》未曾提及，但在本次《征求意见稿》予以明确，数据处理者实际处理数据过程中对于“频次或者时机”的明示将成为不可忽视的要点。
对于数据处理者特别是App运营者，除了在用户打开App的情况下收集数据，App在后台运行时，同样会以一定的频次收集用户数据，导致大多数用户在完全不知情的情况下被频繁地收集个人信息。而针对这一现象，在2021年4月26日，工信部发布的《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》（以下简称“信息保护管理暂行规定”）中对于移动互联网应用程序（App）的数据处理者处理个人信息的“频次”就已经做出了限制。《信息保护管理暂行规定》的第七条第一款规定“处理个人信息的数量、频次、精度等应当为服务所必需，不得超范围处理个人信息”。
本次《征求意见稿》一方面包含了《信息保护管理暂行规定》中对于数据信息收集“频次”的考量，填补了《个人信息保护法》在这一点上的漏洞，要求数据处理者制定的数据处理规则需要包含数据处理的“频次”；另一方面《征求意见稿》将《信息保护管理暂行规定》中这一要求的覆盖范围从移动互联网应用程序（App）的数据处理者扩大到所有的数据处理者，从而避免了用户在不知情的情况下被以不合理地高频调用个人信息，真正实现个人信息收集使用在“最小必要范围内”，更有利于保护用户的个人信息。
2. 明确数据处理者向第三方提供时的规则及责任承担
《个人信息保护法》 | |
第二十三条个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。 | 第十二条数据处理者向第三方提供个人信息，或者共享、交易、委托处理重要数据的，应当遵守以下规定： （一）向个人告知提供个人信息的目的、类型、方式、范围、存储期限、存储地点，并取得个人单独同意，符合法律、行政法规规定的不需要取得个人同意的情形或者经过匿名化处理的除外； （二）与数据接收方约定处理数据的目的、范围、处理方式，数据安全保护措施等，通过合同等形式明确双方的数据安全责任义务，并对数据接收方的数据处理活动进行监督； （三）留存个人同意记录及提供个人信息的日志记录，共享、交易、委托处理重要数据的审批记录、日志记录至少五年。 数据接收方应当履行约定的义务，不得超出约定的目的、范围、处理方式处理个人信息和重要数据。 第二十条第四至五款： （四）以集中展示等便利用户访问的方式说明产品服务中嵌入的所有收集个人信息的第三方代码、插件的名称，以及每个第三方代码、插件收集个人信息的目的、方式、种类、频次或者时机及其个人信息处理规则； （五）向第三方提供个人信息情形及其目的、方式、种类，数据接收方相关信息等； 第四十四条互联网平台运营者应当对接入其平台的第三方产品和服务承担数据安全管理责任，通过合同等形式明确第三方的数据安全责任义务，并督促第三方加强数据安全管理，采取必要的数据安全保护措施。 第三方产品和服务对用户造成损害的，用户可以要求互联网平台运营者先行赔偿。 移动通信终端预装第三方产品适用本条前两款规定。 |
《个人信息保护法》第二十三条规定了个人信息处理者向第三方提供个人信息时应当向个人告知的事项，包括“接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类”。而在本次《征求意见稿》中，除了《个人信息保护法》第二十三条所规定的内容，还增加了其他的要求：
一，对于数据处理者通过嵌入收集个人信息第三方服务时，与数据收集者同样需要明确收集信息的“频次”等信息，保证在每个环节都落实在最小必要范围内收集用户个人信息。
二，《征求意见稿》第四十四条补充并细化了对于接入收集个人信息的第三方的平台运营者的责任，主要表现在三个方面：
（1）平台运营者的监督责任 平台监督具有必要性，平台运营者在将其掌握的用户个人数据提供给第三方时，仅要求平台告知用户其实是仅仅保证了用户的知情权，却无法真正对第三方数据收集者起到约束作用。平台作为第三方数据收集者的引入者，比起弱势的消费者，更便于监督第三方数据收集者的行为是否符合规范，平台介入监督更有利于保护用户的数据安全。
（2）第三方造成损失时，平台运营者的先行赔偿责任 对于用户来说，在个人数据泄露等损害事件发生时，由于网络的匿名性以及传播性强的特点，被泄露个人信息的用户很难在短时间确认侵权人。而互联网平台运营者的先行赔偿，一方面有利于用户在受到损害时能够有效维权，另一方面也能够督促互联网平台运营者积极对第三方数据接受者进行监督，有效预防信息安全事件发生。
（3）平台运营者的记录留存责任 要求平台运营者将记录保存至少5年，包括个人同意记录及提供个人信息的日志记录，共享、交易、委托处理重要数据的审批记录、日志记录等。
三，目前各类移动网络终端均出厂自带大量预装软件，给消费者造成大量困扰。2017年7月1日，工信部曾颁布《移动智能终端应用软件预置和分发管理暂行规定》，明确规定智能手机等移动终端设备预装的第三方应用必须可以卸载，并禁止私自收集用户信息。《征求意见稿》明确规定移动通信终端预装第三方产品时，适用第四十四条，不仅要督促第三方加强数据安全管理，而且互联网平台运营者要先行赔偿用户遭致的损害。
3. 补充“取得个人同意”的具体要求及争议的举证责任
《个人信息保护法》 | |
第十四条基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。 第二十八条敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。 第二十九条处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。 第三十一条个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。 个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。 | 第二十一条处理个人信息应当取得个人同意的，数据处理者应当遵守以下规定： （一）按照服务类型分别向个人申请处理个人信息的同意，不得使用概括性条款取得同意； （二）处理个人生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息应当取得个人单独同意； （三）处理不满十四周岁未成年人的个人信息，应当取得其监护人同意； （四）不得以改善服务质量、提升用户体验、研发新产品等为由，强迫个人同意处理其个人信息； （五）不得通过误导、欺诈、胁迫等方式获得个人的同意； （六）不得通过捆绑不同类型服务、批量申请同意等方式诱导、强迫个人进行批量个人信息同意； （七）不得超出个人授权同意的范围处理个人信息； （八）不得在个人明确表示不同意后，频繁征求同意、干扰正常使用服务。 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，数据处理者应当重新取得个人同意，并同步修改个人信息处理规则。 对个人同意行为有效性存在争议的，数据处理者负有举证责任。 |
在《个人信息保护法》中就已经要求数据处理者在处理个人信息前需要经过信息提供者的个人同意，同意的标准为“充分知情”、“自愿”、“明确”。《征求意见稿》在这一基础上进行了进一步的细化：
一，对于征求同意的要求更加“明确”，以保证提供个人信息的用户“充分知情”：要求征求同意时不得使用概括性条款取得同意，这一规定也与《征求意见稿》的第二十条相呼应，一方面强调不得以概括性的条款取得同意，一方面要求数据处理者制定个人信息处理规则需“以清单形式列明”每项功能处理个人信息的目的、用途、方式、种类、频次或者时机、保存地点等，以及拒绝处理个人信息对个人的影响。
二，对于用户提供个人信息应当是“自愿”提供，不得强迫用户提供。此次《征求意见稿》不仅规定了不能直接强迫用户同意，同时也列出了一些数据提供者“变相强迫”提供个人信息的内容，包括“捆绑不同类型服务、批量申请同意等方式诱导、强迫”、“个人明确表示不同意后，频繁征求同意、干扰正常使用服务”等情形，通过否定性的要求，更加全面地保护了用户对于个人信息的自主性。
三，为了保护弱势的个人，明确规定当出现对个人同意行为的有效性存在争议时，数据处理者负有举证责任。当出现争议时，个人很难举出证据证明数据处理者没有履行好“同意”规则，与数据处理者相比，个人具有绝对劣势，此规定通过明确举证责任作出了一定的平衡，也可以倒逼数据处理者做好相关留存记录。
三、查缺补漏，数据处理者对实现个人信息自主权的职责
1. 丰富个人信息删除权的场景，规定无法实现的解释责任
《个人信息保护法》 | |
第四十七条有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除： （一）处理目的已实现、无法实现或者为实现处理目的不再必要； （二）个人信息处理者停止提供产品或者服务，或者保存期限已届满； （三）个人撤回同意； （四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息； （五）法律、行政法规规定的其他情形。 法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。 | 第二十二条有下列情况之一的，数据处理者应当在十五个工作日内删除个人信息或者进行匿名化处理： （一）已实现个人信息处理目的或者实现处理目的不再必要； （二）达到与用户约定或者个人信息处理规则明确的存储期限； （三）终止服务或者个人注销账号； （四）因使用自动化采集技术等，无法避免采集到的非必要个人信息或者未经个人同意的个人信息。 删除个人信息从技术上难以实现，或者因业务复杂等原因，在十五个工作日内删除个人信息确有困难的，数据处理者不得开展除存储和采取必要的安全保护措施之外的处理，并应当向个人作出合理解释。 法律、行政法规另有规定的从其规定。 |
《征求意见稿》对于《个人信息保护法》中用户行使个人信息删除权的情况做出了延展性的规定，新增了两种用户可以行使删除权的情况：一是个人注销账号的情况，二是“因使用自动化采集技术等，无法避免采集到的非必要个人信息或者未经个人同意的个人信息”的情况。前述都是在数据处理者实际收集处理数据的过程中容易出现的情况，《征求意见稿》加入这些新的内容，填补了之前规定的漏洞，更好地保护了用户的利益。
2. 完善个人信息可携带权的实现及成本承担，并提示风险
《个人信息保护法》 | |
第四十五条个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。 个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。 个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。 | 第二十四条符合下列条件的个人信息转移请求，数据处理者应当为个人指定的其他数据处理者访问、获取其个人信息提供转移服务： （一）请求转移的个人信息是基于同意或者订立、履行合同所必需而收集的个人信息； （二）请求转移的个人信息是本人信息或者请求人合法获得且不违背他人意愿的他人信息； （三）能够验证请求人的合法身份。 数据处理者发现接收个人信息的其他数据处理者有非法处理个人信息风险的，应当对个人信息转移请求做合理的风险提示。 请求转移个人信息次数明显超出合理范围的，数据处理者可以收取合理费用。 |
数据可携带权是指提供数据的用户有权获取经数据控制者处理过的、其个人数据的子集，并且有权获取、储存并有权将其“无障碍地”转移给其他数据处理者的权利。
《个人信息保护法》和《征求意见稿》都赋予了用户数据可携带权，而《征求意见稿》在实现数据可携权的过程中，还规定了数据处理者的风险提示义务：“数据处理者发现接收个人信息的其他数据处理者有非法处理个人信息风险的，应当对个人信息转移请求做合理的风险提示”。但对于风险提示义务应当达到怎样的程度，《征求意见稿》并未做出详细的规定。
结语
综上所述，《征求意见稿》作为《个人信息保护法》的配套文件，一方面承接了《个人信息保护法》对个人信息保护的规定，另一方面对其中的规则做出了进一步的细化，提出了更加具体可执行的要求。
通过更加系统性、更详细的个人信息处理规则来约束数据处理者，为用户个人信息安全提供了更为有利的保护，也为我国数据信息安全起到了重要的支撑作用。